LEI 46/2012, DE 29 DE AGOSTO No dia 29 de Agosto de 2012, foi publicada a Lei n.º 46/2012, que transpõe a Directiva n.º 2009/136/CE, na parte em que altera a Directiva n.º 2002/58/CE, do Parlamento Europeu e do Conselho, de 12 de Julho, relativa ao tratamento de dados pessoais e à protecção da privacidade no sector das Comunicações Electrónicas, procedendo ainda à primeira alteração à Lei n.º 41/2004, de 18 de Agosto, e à segunda alteração ao Decreto-Lei n.º 7/2004, de 7 de Janeiro [com a revogação do artigo 22.º deste Decreto-Lei, respeitante às Comunicações não solicitadas ]. A nova Lei entrou em vigor no dia 30 de Agosto de 2012 (dia seguinte ao da sua publicação), não tendo vigorado o tradicional período de vacatio legis. PONTOS ESSENCIAIS A ASSINALAR 1. Regime legal aplicável aos Cookies : enquanto no âmbito da lei anterior (Lei 41/2004, de 18 de Agosto) se permitia a livre utilização das redes de comunicações electrónicas para o armazenamento de informações ou para obter acesso à informação armazenada no equipamento terminal de um assinante ou utilizador, desde que o mesmo fosse claramente informado sobre os objectivos do processamento e que lhe fosse atribuído o chamado direito de opt out, a Lei 46/2012 vem submeter a possibilidade de utilização de cookies à exigência do prévio consentimento do assinante ou utilizador ), deixando de ser suficiente a mera não oposição.
2. Tratamento e armazenamento de dados de tráfego: a Lei 41/2004, de 18 de Agosto permitia, que tais dados pudessem ser tratados na medida e pelo tempo necessários à comercialização de serviços de Comunicações Electrónicas ou ao fornecimento de serviços de valor acrescentado, desde que com o consentimento prévio do titular dos dados. A nova Lei acrescenta que os dados de tráfego só podem ser tratados na medida e pelo tempo necessários, desde que se haja previamente obtido o consentimento expresso do titular; 3. Obrigação de notificação da violação de Dados Pessoais: A nova Lei cria, para as empresas que oferecem serviços de comunicações electrónicas acessíveis ao público, a obrigação de notificarem imediatamente a CNPD em caso de violação de dados pessoais, bem como os titulares de dados pessoais, sempre que a referida violação possa afectar os respectivos direitos, a menos que aquelas empresas comprovem perante a CNDP que adoptaram as medidas tecnológicas de protecção adequadas. As empresas devem ainda manter um registo actualizado das situações de violação de dados pessoais; 4. Envio de comunicações não solicitadas para fins de marketing directo: Com a nova Lei, passa a ser estritamente proibido o envio de comunicações não solicitadas para fins de marketing directo sem a prévia e expressa autorização do titular de dados pessoais, alterando-se assim o regime legal anterior que fazia depender o envio destas comunicações do prévio consentimento do assinante ou utilizador (regra do opt in ), mas podendo o mesmo ser concedido tacita ou expressamente; 5. Exigência de criação e manutenção de uma Lista de Consentimentos, além da (já obrigatória) Lista de Oposições : com a nova Lei, há um agravamento substancial das obrigações a que estão adstritas as entidades emissoras de comunicações promocionais, para fins de marketing directo, as quais devem, relativamente às pessoas singulares, criar e manter listas actualizadas de, por um lado pessoas que autorizaram, expressamente e de forma gratuita, a recepção das sobreditas comunicações e, por outro lado, dos clientes que não se opuseram à recepção das mesmas. Quanto às pessoas colectivas, as referidas
entidades ficam obrigadas a consultar mensalmente uma lista das pessoas colectivas que manifestaram a sua oposição à recepção daquelas comunicações, lista esta mantida e actualizada pela Direcção Geral do Consumidor; 6. Previsão de novas sanções: Além da faculdade de aplicação de coimas, a Comissão Nacional de Protecção de Dados e o ICP-ANACOM, passam, com a nova Lei a poder aplicar três novos expedientes sancionatórios: as admoestações, as sanções acessórias e as sanções pecuniárias compulsórias, estas com um montante diário mínimo de 500 e máximo de 100.000,00, sendo o montante concreto apurado atendendo à situação económica do agente, designadamente ao seu volume de negócios no ano civil anterior e ao impacto negativo do incumprimento no mercado e nos utilizadores; 7. Competências atribuídas à CNPD e ao ICP-ANACOM: A nova Lei atribui ao ICP-ANACOM novas competências: poder de emitir recomendações sobre as melhores práticas ao nível das medidas de segurança que empresas prestadoras de serviços de comunicações já no domínio da Lei anterior estavam obrigadas a adoptar; e competência para solicitar informações, sempre que entenda pertinente, às entidades às quais a Lei 46/2012 impõe obrigações, relacionadas com a actividade das mesmas. Quanto à CNPD, são-lhe atribuídas novas competências de supervisão no âmbito da violação de dados pessoais: sempre que ocorra uma violação desta natureza, as empresas que oferecem comunicações electrónicas devem notificar a CNPD, indicando as consequências da violação de dados pessoais e as medidas por si propostas ou tomadas para fazer face à violação. A CNPD pode também emitir orientações ou instruções, em conformidade com as decisões da Comissão Europeia e, ainda, fiscalizar o cumprimento das obrigações de notificação, para o que as empresas devem manter um registo das situações de violação de dados pessoais, com indicação dos factos que lhes dizem respeito, dos seus efeitos e das medidas adoptadas.
Em concreto, i) Alteração do regime legal aplicável aos Cookies : A Lei n.º 46/2012 submete a possibilidade de utilização de cookies ( grupo de dados trocados entre o navegador e o servidor de páginas, colocado num arquivo (ficheiro) de texto criado no computador do utilizador, tendo como função essencial a manutenção da persistência de sessões e sendo fundamental, maxime, às empresas publicitárias, para a determinação das preferências dos utilizadores/assinantes ) à exigência do prévio consentimento do assinante ou utilizador ), deixando de ser suficiente a mera não oposição manifestada pelo assinante ou utilizador. Recorde-se que, até à data, a Lei 41/2004, de 18 de Agosto permitia, no seu artigo 5.º, a livre utilização das redes de comunicações electrónicas para o armazenamento de informações ou para obter acesso à informação armazenada no equipamento terminal de um assinante ou utilizador, desde que o mesmo fosse claramente informado sobre os objectivos do processamento e que lhe fosse atribuído o chamado direito de opt out, isto é, o direito de recusar este procedimento. Com a nova Lei, a utilização das redes de comunicações electrónicas para as finalidades supra - mencionadas deixa de ser livre, na medida em que tal procedimento passa a depender do prévio consentimento do assinante/utilizador, prestado com base em informações claras e completas nos termos da Lei de Protecção de Dados Pessoais, nomeadamente quanto aos objectivos do processamento.
Só assim não será se o armazenamento técnico ou o acesso cumprir dois requisitos cumulativos: a) tiver como única finalidade a transmissão de uma comunicação através de uma rede de comunicações electrónicas; b) ser estritamente necessário ao fornecedor para fornecer um serviço da sociedade de informação solicitado expressamente pelo assinante ou utilizador. Nesse caso, deixa de ser aplicável a exigência do prévio consentimento do assinante ou utilizador. Esta é, sem dúvida, uma medida de incontornável impacto para as empresas, sobretudo no mercado da publicidade online, que constituirá um obstáculo à angariação de potenciais clientes, uma vez que a livre utilização de cookies permitia a qualquer entidade armazenar dados relativos às preferências dos assinantes ou utilizadores, possibilitando a criação de um perfil de cada consumidor, essencial para adaptar a publicidade enviada ao utilizador/assinante aos seus interesses, tacitamente revelados pela opções que faz e pelos sites que procura sempre que navega na rede internet. ii) Alteração do regime legal relativo ao tratamento e armazenamento de dados de tráfego: Por outro lado, em relação aos dados de tráfego [relativos aos assinantes e utilizadores tratados e armazenados pelas empresas que oferecem redes e/ou serviços de comunicações electrónicas], enquanto a Lei 41/2004, de 18 de Agosto permitia, no n.º 4 do artigo 6.º, que esses dados pudessem ser tratados na medida e pelo tempo necessários à comercialização de serviços de Comunicações Electrónicas ou ao fornecimento de serviços de valor acrescentado, desde que com o consentimento prévio do titular dos dados, a nova Lei estabelece que os
dados de tráfego só podem ser tratados na medida e pelo tempo necessários, desde que se haja previamente obtido o consentimento expresso do titular. Trata-se de uma alteração que faz depender o tratamento dos dados de tráfego de pressupostos de admissibilidade mais restritos e exigentes, na medida em que o consentimento tácito corresponde tão simplesmente a não dizer que não, obrigando o consentimento expresso, pelo menos, à consciencialização da necessidade de autorização. iii) Obrigação de notificação da violação de Dados Pessoais: A Lei em crise acrescenta ainda um novo artigo (artigo 3.º - A) à Lei 41/2004, de 18 de Agosto, fazendo recair sobre as empresas que oferecem serviços de comunicações electrónicas acessíveis ao público a obrigação de notificarem imediatamente a CNPD em caso de violação de dados pessoais, bem como os titulares de dados pessoais (os assinantes/utilizadores), sempre que a referida violação possa afectar negativamente os seus dados pessoais, entendendo-se que isso acontece sempre que resultar, designadamente, em usurpação ou fraude de identidade, danos físicos, humilhação significativa ou danos para a reputação, quando associados à prestação e utilização de serviços de comunicações electrónicas acessíveis ao público, só não tendo esta notificação aos particulares de ter lugar quando as empresas comprovem perante a CNDP que adoptaram as medidas tecnológicas de protecção adequadas, as quais devem tornar os dados incompreensíveis para todas as pessoas não autorizadas a aceder-lhes e que essas medidas foram aplicadas aos dados a que a violação diz respeito. É igualmente de ressalvar a obrigação das empresas manterem um registo actualizado das situações de violação de dados pessoais.
iv) Alteração do regime legal aplicável ao envio de comunicações não solicitadas para fins de marketing directo: Com a nova Lei, passa a ser estritamente proibido o envio de comunicações não solicitadas para fins de marketing directo sem a prévia e expressa autorização do titular de dados pessoais, conforme se retira do artigo 13.º - A (ora aditado à Lei 41/2004, de 18 de Agosto): 1) Está sujeito a consentimento prévio e expresso do assinante que seja pessoa singular, ou do utilizador, o envio de comunicações não solicitadas para fins de marketing direto, designadamente, através da utilização de sistemas automatizados de chamada e comunicação que não dependam da intervenção humana (aparelhos de chamada automática), de aparelhos de telecópia ou de correio eletrónico, incluindo SMS (serviços de mensagens curtas), EMS (serviços de mensagens melhoradas) MMS (serviços de mensagem multimédia) e outros tipos de aplicações similares; 2) O disposto no número anterior não se aplica aos assinantes que sejam pessoas coletivas, sendo permitidas as comunicações não solicitadas para fins de marketing direto até que os assinantes recusem futuras comunicações e se inscrevam na lista prevista no n.º 2 do artigo 13.º-B. O regime legal anterior (contemplado no ora revogado artigo 22.º do Decreto-Lei 7/2004, de 7 de Janeiro) fazia depender o envio de comunicações não solicitadas para fins de marketing directo do prévio consentimento do assinante ou utilizador (regra do opt in ), não sendo especificada a forma de prestação desse consentimento, podendo o mesmo ser concedido tacita ou expressamente. Com a nova Lei, não basta ser conferida aos destinatários a possibilidade de cancelar a inscrição, enviando um e-mail à empresa emissora da comunicação ou clicando num determinado link, sendo antes obrigatório que o titular dos dados não receba qualquer e-mail se não tiver dado o seu consentimento prévio e expresso para o efeito.
Devemos concluir, neste caso, que a nova Lei mantém a regra do opt in, tornando-a porém substancialmente mais exigente. v) Nova exigência de criação e manutenção de uma Lista de Consentimentos, além da (já obrigatória) Lista de Oposições : Recordamos ainda que esta nova Lei revoga igualmente o artigo 22.º do DL 7/2004, de 7 de Janeiro, que impunha, no artigo 7.º, às entidades que promovam o envio de comunicações não solicitadas cuja recepção seja independente da intervenção do destinatário a criação e manutenção de uma lista actualizada de pessoas que manifestaram o desejo de não receber aquele tipo de comunicações. Pelo artigo 13.º-B da nova Lei, as obrigações a que estão adstritas as entidades emissoras de comunicações promocionais, para fins de marketing directo, são substancialmente agravadas, passando Pela criação e manutenção de listas actualizadas de pessoas que autorizaram, expressamente e de forma gratuita, a recepção das sobreditas comunicações; Pela criação e manutenção de listas actualizadas de clientes que não se opuseram à recepção das referidas comunicações; e Pela obrigação da Direcção Geral do Consumidor manter uma lista, de âmbito nacional, e devidamente actualizada, de pessoas colectivas que tenham manifestado a sua expressa oposição à recepção de comunicações não solicitadas para fins de marketing directo, lista essa que deverá ser
obrigatoriamente consultada (mensalmente) pelas entidades emissoras de comunicações para fins de marketing direto, previamente ao envio das mesmas. vi) Previsão de sanções pecuniárias compulsórias e de sanções acessórias: No domínio da Lei n.º 41/2004, de 18 de Agosto, atribuía-se à Comissão Nacional de Protecção de Dados e ao ICP-ANACOM a faculdade de aplicação de coimas pelo incumprimento das disposições da lei. A nova Lei vem acrescentar três novos expedientes sancionatórios do incumprimento: as admoestações, as sanções acessórias e as sanções pecuniárias compulsórias. A admoestação corresponde a uma pena de substituição de uma pena concreta de multa que consiste numa advertência oral ao visado. Com a previsão deste tipo de sanções, o legislador terá querido reforçar a tutela punitiva dos ilícitos, não querendo deixar aqueles que não se configuram como suficientemente gravosos para a aplicação de coima sem qualquer tipo de consequência repreensiva. No que respeita às sanções acessórias, aplicáveis no domínio contra ordenacional, interessa notar que nos casos em que a competência para a aplicação de medidas punitivas seja do ICP-ANACOM, poderá esta entidade, quando a culpa do agente o justificar, aplicar uma sanção acessória de perda a favor do Estado de objectos, equipamentos e dispositivos ilícitos e mesmo do produto do beneficio obtido pelo infractor através da prática da contraordenação, de acordo com o disposto no artigo 15.º-A da Lei n.º 46/2012. É ainda expressamente atribuída à Comissão Nacional de Protecção de Dados e ao ICP-ANACOM a faculdade de imposição de sanções pecuniárias compulsórias, com um montante diário mínimo de 500 e o montante máximo de 100.000,00, sendo o montante concreto apurado atendendo à situação económica do agente, designadamente ao seu volume de negócios no ano civil anterior e ao impacto negativo do incumprimento no mercado e nos utilizadores.
De resto, foram mantidos os valores mínimos e máximos das coimas aplicáveis a pessoas colectivas ( 5.000 de coima mínima; 5.000.000 de coima máxima). vii) Competências atribuídas à CNPD e ao ICP-ANACOM: A Lei n.º 46/2012, de 29 de Agosto, atribui extensas competências à Comissão Nacional de Protecção de Dados (CNPD) e ao ICP-ANACOM,, relacionadas, sobretudo, com a supervisão, controlo do funcionamento e garantia da segurança no tratamento de dados pessoais, no âmbito das comunicações electrónicas. Assim, a Lei nova atribuí ao ICP-ANACOM : i) Competências no âmbito da segurança do processamento de dados: enquanto a Lei 41/2004 estatuía apenas o dever das empresas prestadoras de serviços de comunicações electrónicas adoptarem medidas para garantir a segurança dos respectivos serviços e, se necessário, da rede, acrescido de um lacónico dever de informação dos assinantes de um serviço de comunicações electrónicas em caso de risco especial de violação da segurança da rede,com a nova Lei n.º 47/2012 emprega-se um esforço adicional para garantir a efectividade e, tanto quanto possível, a eficiência das referidas medidas, ficando o ICP-ANACOM expressamente incumbido, nos termos dos n.ºs 4 a 8 do artigo 3.º de emitir recomendações sobre as melhores práticas ao nível da segurança que tais medidas devem alcançar e de auditar, directamente ou através de entidade independente, essas medidas e podendo ainda, realizar auditorias de segurança extraordinárias. Pretender-se-á, com esta atribuição expressa de competências, trazer as medidas já previstas no âmbito da Lei 41/2004 para o plano concreto, sabendo-se agora quem fica responsável por garantir que as mesmas, além de existirem, são idóneas à realização efectiva do fim para que foram criadas. Mas mais, a nova Lei
vai além da previsão genérica de medidas técnicas e organizacionais eficazes, de conteúdo indeterminado, constante da letra da Lei 41/2004, estabelecendo, nas alíneas a) a c) do n.º 9 do mesmo artigo 3.º um número mínimo de medidas, que o legislador terá considerado imprescindíveis para garantir parâmetros mínimos de segurança dos serviços de comunicações electrónicas. Nomeadamente, medidas que assegurem que só pessoal autorizado, para fins legalmente autorizados, tenha acesso aos dados pessoais; a protecção de dados tratados contra a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados ou acidentais e; medidas que assegurem uma política de segurança no tratamento dos dados pessoais. ii) Competência para solicitar informações: Em todas as suas áreas de competência, o ICP-ANACOM pode solicitar, sempre que entenda pertinente, informações às entidades às quais a Lei 46/2012 impõe obrigações, relacionadas com a actividade das mesmas, podendo aquela entidade também estabelecer as circunstâncias e a periodicidade do envio destas informações; Quanto à CNPD, são-lhe atribuídas novas competências de supervisão no âmbito da violação de dados pessoais: a Lei 46/2012 veio criar, através do novo artigo 3.º-A, um regime referente à notificação de violação de dados pessoais. Assim, sempre que ocorra uma violação desta natureza, as empresas que oferecem comunicações electrónicas devem, sem demora injustificada, notificar a CNPD, indicando as consequências da violação de dados pessoais e as medidas por si propostas ou tomadas para fazer face à violação. Atribui-se ainda à CNPD a prorrogativa de, em conformidade com as decisões da Comissão Europeia, emitir orientações ou instruções sobre as circunstâncias em que as empresas que oferecem serviços de comunicações electrónicas estão obrigadas a notificar a violação de dados pessoais, bem como sobre a forma e o procedimento aplicáveis a essas notificações. Por fim, a CNPD tem ainda competência fiscalizadora do cumprimento destas obrigações de notificação, para o que as empresas devem manter um registo das situações de violação de dados
pessoais, com indicação dos factos que lhes dizem respeito, dos seus efeitos e das medidas adoptadas. O ICP-ANACOM e a CPD partilham ainda competências no que respeita à instauração, instrução e arquivamento de processos de contra-ordenação, bem como a aplicação de admoestações, coimas e sanções acessórias, sendo a competência entre ambas as entidades repartidas consoante o ilícito cometido, nos termos do artigo 15.º. Neste particular, o ICP-ANACOM tem ainda o poder muito específico de aplicar a já mencionada sanção acessória de perda a favor do Estado, nos termos do artigo 15.º- A.. Por fim, nas respectivas áreas de competência, o ICP-ANACOM, por um lado e a CPD, por outro, beneficiam dos seguintes poderes, de acordo com o disposto nos artigos 13.º-C e seguintes: i) Cooperação transfronteiriça, podendo aprovar medidas para assegurar uma cooperação transfronteiriça eficaz na execução da Lei 46/2012, desde que previamente apresentem à Comissão Europeia um resumo dos motivos para a acção, os requisitos previstos e as acções propostas; ii) Elaborar de regulamentos relativamente às práticas a adoptar para cumprimento da Lei 46/2012; iii) Dar ordens e formular recomendações; iv) Publicar, nos respectivos sítios na Internet, os códigos de conduta de que tenham conhecimento; v) Publicitar, nos respectivos sítios na Internet, outras informações que considerem relevantes; vi) Fiscalização do cumprimento da Lei n.º 46/2012, através dos funcionários de cada uma das entidades, devidamente mandatados/credenciados para o efeito.
PONTOS POSITIVOS E PONTOS NEGATIVOS Pontos Positivos Em teoria, esta Lei visou alcançar os seguintes propósitos (devidamente elencados na Exposição de Motivos que encabeçou a proposta de Lei): a) reforçar a segurança do processamento dos dados pessoais; b) introduzir a notificação obrigatória de violação de dados pessoais à CNPD e aos titulares de dados, por parte das entidades que oferecem serviços de comunicações electrónicas acessíveis ao público; c)sujeitar o armazenamento de dados ao consentimento pelo seu titular; d)reforçar as salvaguardas dos assinantes contra a invasão da sua privacidade por comunicações não solicitadas para fins de comercialização directa, no contexto da utilização de redes de comunicações electrónicas. Na prática, é inquestionável que a nova lei vem reforçar a protecção dos utilizadores da Internet em matéria de dados pessoais e salvaguardar de uma forma significativa a sua esfera de privacidade, sobretudo pela adopção das medidas referidas nos pontos i) e iv), i.e., com a clara e expressa consagração do direito de opt in do utilizador no que respeita às comunicações não solicitadas e ao armazenamento de dados ( cookies ). Nessa medida, é natural que o cumprimento escrupuloso da nova Lei por parte dos prestadores de serviços de comunicações electrónicas e dos operadores se traduza num aumento da confiança dos consumidores na celebração de contratos à distância.
Pontos Negativos As consequências negativas destas alterações traduzem-se, sobretudo, na criação de entraves ao comércio electrónico. Os vendedores online deparar-se-ão com novos obstáculos na aproximação aos consumidores, condicionados que estão pela obrigação de respeitarem listas de consentimentos, de consultarem a lista de recusas da Direcção Geral do Consumidor e de salvaguardarem o direito de opt in dos utilizadores. Este factor concorre para o entorpecimento do tráfego nas compras e vendas online e acentuará a morosidade e a burocracia na Internet. Por outro lado, também o mercado da publicidade online poderá sair prejudicado, uma vez que ao ser muito rigorosa no que respeita ao prévio consentimento dos assinantes/utilizadores para a utilização de cookies, a Lei n.º 46/2012 dificulta em grande medida a criação de perfis de consumidores e, assim, a angariação de clientes. Também a publicidade na modalidade de marketing directo fica restringida, tendo em conta que, com a nova Lei, o processamento de comunicações com tal fim fica dependente já não só do consentimento prévio do titular de dados pessoais, mas do seu consentimento expresso, tornando-se assim o consentimento tácito (a não manifestação de vontade contrária), insuficiente. É ainda questionável a praticabilidade da medida elencada no ponto iii) supra (introdução da notificação obrigatória de violação de dados pessoais à CNPD e aos titulares de dados, por parte das entidades que oferecem serviços de comunicações electrónicas acessíveis ao público), sendo difícil assegurar o sucesso desta cooperação entre entidades prestadoras de serviços de comunicações electrónicas e Comissão Nacional de Protecção de Dados no combate à violação dos dados pessoais, na medida em que as violações de dados pessoais provêem, em larga medida, das próprias entidades prestadoras de serviços de comunicações electrónicas.